"Für die Kläger wird es einfacher"
Grünen-Politiker Jan Philipp Albrecht über die Folgen der Datenschutz-Reform für Unternehmen und die neuen Rechte der Nutzer.
In wenigen Monaten tritt die Datenschutz-Grundverordnung (DSGVO) vollständig in Kraft, die für Unternehmen weitreichende Folgen haben kann. Sind die Unternehmen sich dessen eigentlich bewusst?
Ich glaube schon, dass die allermeisten sich dessen bewusst sind. Was aber längst nicht bedeutet, dass sie auch bereit sind. Viele fangen gerade mal an, sich in ihren Prozessen auf die neue Verordnung einzustellen. Das ist relativ knapp, kann aber noch gelingen. Es ist ja nicht so, dass wir eine komplette Revolution des Rechts vollziehen. Die meisten substanziellen Anforderungen stehen genauso schon im Bundesdatenschutzgesetz und den Landesdatenschutzgesetzen. Eine Überraschung ist es nur für diejenigen, die schon vorher nicht in der Lage waren, sich an geltendes Recht zu halten.
Was kann es für Folgen haben, wenn man sich nicht darum kümmert, den Datenschutz anzupassen?
Ab dem 25. Mai kann eine Datenschutzbehörde ein Unternehmen ermahnen oder Sanktionen verhängen, die sehr schmerzhaft sein können. Zudem kann jeder Verbraucher und auch jeder Wettbewerber vor Gericht gegen die Verletzung von Datenschutzregeln klagen, auch um Schadensersatzforderungen einzuklagen. Das geht also nicht nur von den Aufsichtsbehörden aus. Ich würde jedem dazu raten, das sehr ernst zu nehmen.
Dafür müssten ja auch die Bürger erst einmal wissen, gegen was sie klagen könnten …
Es ist sicherlich nicht zu erwarten, dass die einzelnen Bürger jetzt alle vor Gericht ziehen. Aber theoretisch ist diese Möglichkeit damit gestärkt worden. In der Praxis besteht diese Möglichkeit zum Beispiel für Verbraucherschutzverbände oder Klageverbände, die sich darauf spezialisiert haben, Datenschutzrechte durchzusetzen. Das wird jetzt alles einfacher für den Kläger und die Klägerin. Der revolutionäre Inhalt der neuen Verordnung ist nicht etwa, dass sich am Datenschutz und den Pflichten für Unternehmen groß etwas geändert hat, sondern dass sich an der Durchsetzung der Rechte etwas ändert.
Es droht also eine Klagewelle?
Das ist definitiv so. Es ist absehbar, dass sich viele darauf vorbereiten, die Klagen einzureichen. Die größeren Unternehmen wissen das. Aber es kann auch ein kleineres Unternehmen treffen, wenn es die Regeln einfach mutwillig ignoriert und hofft, dass die Verbraucher und Verbraucherinnen sich dagegen nicht wehren werden. Dass Unternehmen weiterhin ihren Pflichten nicht nachkommen – damit ist jetzt Schluss.
Was ist aus Sicht der Unternehmen und Seitenbetreiber die eklatanteste Änderung?
Dass man sich keine Sorgen machen muss, wenn man einen Datenschutz pflegt, der im Einklang mit der Verordnung steht. Das schafft Rechtssicherheit und baut zugleich Bürokratie ab. Inhaltlich gesehen ist es die Transparenz. Jedes Unternehmen muss dafür sorgen, Verbraucher und Verbraucherinnen darüber zu informieren, was es mit den personenbezogenen Daten macht. Zum anderen muss klar sein, dass die Grundeinstellungen bei allen Anwendungen datenschutzfreundlich sein müssen. Man muss sich zunächst einen Überblick verschaffen und sich dann die Frage stellen, ob diese ganzen Daten denn auch wirklich alle so gebraucht werden.
Datenschutz und Geschäftsinteressen scheinen im ständigen Widerspruch miteinander zu stehen …
Der Gegensatz ist konstruiert. Es gibt ja niemanden, der sagt, dass man die Verarbeitung von Daten verbieten wolle. Auch die DSGVO tut das nicht.
Die Regeln bestimmen nur, in welchem Ausmaß der Betroffene bei der Verarbeitung einbezogen werden sollte. Wir erlauben die Nutzung auch für Innovation und wirtschaftliche Zwecke, aber unter der Voraussetzung, dass das vertrauensvoll passiert und ohne Schaden für die Betroffenen. Das kann unter anderem durch eine Einwilligung passieren, aber auch im Rahmen der berechtigen Interessen, die in der Grundverordnung festgeschrieben sind. Da gibt es einen großen Spielraum. Innovationen und neue Geschäftsfelder kann man auch mit weniger personenbezogenen Daten entwickeln. Davon bin ich überzeugt.
Was raten Sie Unternehmen, die noch nicht bereit für den 25. Mai sind?
Als ersten Schritt sollte man einen Datenschutzbeauftragten einstellen. So eine Person ist unverzichtbar. Viele haben nicht erkannt, dass das keine Belastung ist, sondern eine wichtige Unterstützung. Für die Anpassungszeit sollte man ein Team bilden, auch mit externem Sachverstand, das einmal die Regeln im eigenen Unternehmen abklopft und sie gegebenenfalls anpasst.
Interview: Melanie Reinsch